Две пропусти во GRUB2 кои ви дозволуваат да ја заобиколите заштитата на UEFI Secure Boot

Објавени се информации за две пропусти во подигнувачот GRUB2, што може да доведе до извршување на кодот при користење на специјално дизајнирани фонтови и обработка на одредени секвенци на Уникод. Пропустите може да се користат за да се заобиколи механизмот за подигнување потврдено од UEFI Secure Boot.

Идентификувани пропусти:

• CVE-2022-2601 - Прелевање на баферот во функцијата grub_font_construct_glyph() при обработка на специјално дизајнирани фонтови во формат pf2, што се јавува поради неправилна пресметка на параметарот max_glyph_size и распределба на мемориска област која е очигледно помала од потребната приспособете ги хиероглифите.
• CVE-2022-3775 Запишување надвор од границите се случува кога се прикажуваат некои секвенци на Уникод во специјално стилизиран фонт. Проблемот е во кодот за обработка на фонтот и е предизвикан од недостаток на соодветни проверки за да се осигура дека ширината и висината на глифот се совпаѓаат со големината на достапната битмапа. Напаѓачот може да го креира влезот на таков начин што ќе предизвика опашката на податоците да се запише нанадвор од доделениот бафер. Забележано е дека и покрај сложеноста на искористувањето на ранливоста, не е исклучено доведување на проблемот до извршување на кодот.

Поправката е објавена како лепенка. Статусот на елиминирање на ранливостите во дистрибуциите може да се процени на овие страници: Ubuntu, SUSE, RHEL, Fedora, Debian. За да ги решите проблемите во GRUB2, не е доволно само да го ажурирате пакетот; исто така ќе треба да генерирате нови внатрешни дигитални потписи и инсталатери за ажурирање, подигнувачи, пакети на јадрото, фирмверот fwupd и слојот на шим.

Повеќето дистрибуции на Линукс користат мал обичен слој дигитално потпишан од Microsoft за потврдено подигање во режимот UEFI Secure Boot. Овој слој го потврдува GRUB2 со свој сертификат, кој им овозможува на развивачите на дистрибуција да немаат секое кернел и ажурирање на GRUB сертифицирано од Microsoft. Ранливостите во GRUB2 ви овозможуваат да го постигнете извршувањето на вашиот код во фазата по успешната проверка на шим, но пред да го вчитате оперативниот систем, да се вклопите во синџирот на доверба кога режимот за безбедно подигање е активен и да стекнете целосна контрола врз понатамошниот процес на подигање, вклучително и вчитување на друг оперативен систем, менување на системот за компоненти на оперативниот систем и заобиколување на заштитата од заклучување.

За блокирање на ранливоста без отповикување на дигиталниот потпис, дистрибуциите можат да го користат механизмот SBAT (UEFI Secure Boot Advanced Targeting), кој е поддржан за GRUB2, shim и fwupd во повеќето популарни дистрибуции на Linux. SBAT беше развиен заедно со Microsoft и вклучува додавање дополнителни метаподатоци во извршните датотеки на компонентите на UEFI, кои вклучуваат информации за производителот, производот, компонентата и верзијата. Наведените метаподатоци се сертифицирани со дигитален потпис и можат посебно да бидат вклучени во списоците на дозволени или забранети компоненти за UEFI Secure Boot.

SBAT ви овозможува да ја блокирате употребата на дигитални потписи за поединечни броеви на верзии на компоненти без да мора да ги отповикате клучевите за безбедно подигање. Блокирањето на пропустите преку SBAT не бара употреба на листа за отповикување сертификати UEFI (dbx), туку се врши на ниво на замена на внатрешниот клуч за генерирање потписи и ажурирање на GRUB2, шим и други артефакти за подигање обезбедени од дистрибуциите. Пред воведувањето на SBAT, ажурирањето на списокот за отповикување сертификати (dbx, UEFI Revocation List) беше предуслов за целосно блокирање на ранливоста, бидејќи напаѓачот, без оглед на користениот оперативен систем, може да користи бутабилен медиум со стара ранлива верзија на GRUB2. сертифициран со дигитален потпис, за да се компромитира UEFI Secure Boot .

Извор: opennet.ru